Spring Security静态资源配置：允许访问/resources/public下所有文件

我之前也踩过一模一样的坑！这种明明配置了通配符却还是返回403的情况，大概率不是通配符语法的问题，而是配置优先级、文件权限或者安全规则顺序导致的，给你几个针对性的排查和解决方向：

1. 检查路径匹配的优先级与语法 #

很多Web服务器/框架的路径匹配是有优先级的：精确匹配 > 前缀匹配 > 通配符匹配，如果你的允许规则被更宽泛的拒绝规则覆盖，就会触发403。

举个Nginx的错误示例，宽泛的拒绝规则会先匹配，导致通配规则完全失效：

# 错误：先匹配全局的deny规则，后面的allow永远不会生效
location / {
    deny all;
}
location /resources/public/** {
    allow all;
}

正确的写法是把更具体的规则放在前面，同时用^~强制前缀匹配避免被正则规则干扰：

# 正确：先匹配public目录的所有请求
location ^~ /resources/public/ {
    allow all;
    root /path/to/your/project/root; # 务必确保root指向项目根目录，避免路径拼接错误
    try_files $uri $uri/ =404;
}
# 其他请求再应用拒绝规则
location / {
    deny all;
}

如果是Spring这类Java框架，要注意/**是递归匹配所有子目录，但规则顺序必须是允许规则在前，全局拦截在后。

2. 排查文件系统权限 #

403错误最容易被忽略的原因就是服务器进程没有读取目标目录的权限！比如Linux下Nginx的运行用户（通常是www-data）没有/resources/public目录的读权限，或者文件本身是700这类仅所有者可见的权限。

可以用以下命令快速排查：

# 查看目录权限
ls -ld /path/to/resources/public
# 查看服务器进程的运行用户
ps aux | grep nginx # 替换成你的服务器进程名，比如tomcat/java

解决方法：给目录递归添加读权限，或者修改目录所有者为服务器进程用户：

chmod -R 755 /path/to/resources/public
# 或者修改所有者
chown -R www-data:www-data /path/to/resources/public

3. 检查安全模块的拦截规则 #

如果你的项目用了安全框架（比如Spring Security、Shiro），一定要确保允许静态资源的规则在全局认证规则之前。

举个Spring Security的错误示例：

// 错误：全局认证规则先匹配，静态资源的允许规则永远不会生效
http.authorizeRequests()
    .anyRequest().authenticated()
    .antMatchers("/resources/public/**").permitAll();

正确的写法是把允许规则放在最前面：

// 正确：先放行静态资源，再拦截其他请求
http.authorizeRequests()
    .antMatchers("/resources/public/**").permitAll()
    .anyRequest().authenticated();

4. 无需扩展名匹配的替代配置 #

如果你不想用扩展名白名单的方式，除了正确的通配符，还可以直接把整个目录映射为静态资源目录：

Spring Boot 配置文件示例（application.yml） #

spring:
  web:
    resources:
      static-locations: classpath:/resources/public/

Spring Boot 代码配置示例 #

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
    @Override
    public void addResourceHandlers(ResourceHandlerRegistry registry) {
        registry.addResourceHandler("/public/**")
                .addResourceLocations("classpath:/resources/public/");
    }
}

内容的提问来源于stack exchange，提问作者ConsultingEasy